CVE-2026-80824

Linux nüvəsində aşağıdakı zəiflik aradan qaldırılmışdır: usb: usbfs: usbdev_release() funksiyasında usb_device obyektinin istifadəsi sonrası azad edilməsi (use-after-free) problemi düzəldildi usbdev_release() tamamlanmış asinxron URB siyahısını təmizləməzdən əvvəl struct usb_device strukturuna olan istinadı ləğv edir, lakin həmin təmizləmə yolu eyni obyekt vasitəsilə oxuma aparır: free_async() buferi usbfs mmap() bölgəsindən gələn hər bir URB üçün dec_usb_memory_use_count() funksiyasını çağırır və onun ilk ifadəsi bus_to_hcd(ps->dev->bus) olur. Bağlantı kəsildikdən sonra usbfs istinadı sonuncu ola bilər ki, bu halda usb_put_dev() cihazı azad edir və növbəti dövr azad edilmiş yaddaşın 80-ci ofsetini oxuyur və nəticədən struct usb_hcd * kimi istifadə edir, daha sonra hcd_buffer_free_pages() bunu dereference edir. Bu zəifliyə /dev/bus/usb düyününə oxuma/yazma girişi olan imtiyazsız proses tərəfindən çatmaq mümkündür: fd-ni mmap() etmək, xəritələmə daxilində buferi olan bir URB göndərmək, cihazın ayrılmasını gözləmək, sonra munmap() və close() etmək. Bu, yarış şərtindən (race condition) asılı olmayaraq hər cəhddə təkrarlanır, çünki aktiv MAP_SHARED vma struct file üzərində istinad saxlayır, buna görə də sonuncu vma yox olana qədər usbdev_release() işləyə bilmir və dec_usb_memory_use_count() funksiyasının azad etmə budağı həmişə seçilir. BUG: KASAN: slab-use-after-free in dec_usb_memory_use_count+0x3ae/0x410 Read of size 8 at addr ffff8880122ee050 by task poc/769 CPU: 1 UID: 1000 PID: 769 Comm: poc Tainted: G B 6.12.94 #3 Call Trace: dec_usb_memory_use_count+0x3ae/0x410 free_async+0x2aa/0x4f0 usbdev_release+0x375/0x460 __fput+0x3ea/0xb50 __x64_sys_close+0x86/0x100 Allocated by task 11: usb_alloc_dev+0x55/0xd90 hub_event+0x2524/0x43d0 Freed by task 769: kfree+0x121/0x360 device_release+0xd2/0x280 usb_put_dev+0x23/0x30 usbdev_release+0x2d8/0x460 Cihaz istinadı təmizləmə dövründən sonra azad edilir. İki nöqtə arasında heç bir əməliyyat istinadın öncədən ləğv edilməsini tələb etmir.